Google zerschlaegt XCPE-Botnet mit 1,3 Mio. TV-Boxen: Malware ab Werk in Firmware integriert

Google hat zusammen mit mehreren Cybersicherheits-Partnern und Strafverfolgungsbehoerden ein Botnet namens XCPE neutralisiert, das ueber 1,3 Millionen Android-basierte TV-Boxen umfasste. Nach Einschaetzung des Suchmaschinenriesen wurden die Geraete nicht durch Softwareluecken infiziert, sondern direkt in der Produktionsphase: Der Hersteller baute absichtlich einen versteckten Fernzugriffskanal – eine Backdoor – in die Firmware ein und verkaufte spaeter die Moeglichkeit zur Steuerung der kompromittierten Geraete an Cyberkriminelle. Google bringt die Botnet-Infrastruktur mit hoher Wahrscheinlichkeit mit dem chinesischen Elektronikhersteller Videostrong Technology in Verbindung, dem das Unternehmen vorwirft, jahrelang schaedlichen Code in Geraeten verschiedener Marken und Modelle verbreitet zu haben.

Firmware-Backdoor und modulare Architektur

Ein Hauptmerkmal von XCPE war die direkte Implementierung in die Geraetefirmware ab Werk, wodurch das klassische Szenario einer Infektion ueber eine Schwachstellenentdeckung ausgeschlossen wurde. Die Hauptkomponente der Backdoor arbeitete mit Android-Systemrechten, was den Operatoren die volle Kontrolle ueber das Geraet gab. Die Architektur der Malware war modular aufgebaut: Die Backdoor-Funktionen waren von Modulen getrennt, die darauf ausgelegt waren, Einnahmen im Interesse von Drittpartnern zu generieren. Nach dem Einschalten der infizierten TV-Box nahm die XCPE-Komponente Kontakt zu einem Befehlsserver auf und erhielt Verbindungsdaten sowie Zugangsdaten fuer einen MQTT-Nachrichtenbroker, ueber den die Operatoren die Geraete fernsteuerten und schaedliche Aktionen ausfuehrten. Um der Erkennung zu entgehen, aenderten die Angreifer kontinuierlich die Programmstruktur: Ende 2024 wechselte Videostrong laut Google zu einem separaten Loader zum Ausfuehren von Modulen und trennte diese Funktion im August in kompaktere, spezialisierte Dropper ab, die als Android-System-Apps getarnt waren.

Wofuer die infizierten Geraete genutzt wurden

Die kompromittierten Set-Top-Boxen wurden fuer verschiedene Arten cyberkrimineller Aktivitaeten eingesetzt. Einige Module waren mit Residential-Proxy-Diensten verknuepft – Linkfog, AppSalt/Honeygain, GaGaNode, NetNut und Traffmonetizer –, die Internetverkehr Dritter ohne Wissen und Zustimmung der Eigentuemer ueber die infizierten Geraete umleiteten. Andere Module wurden fuer Werbebetrugsschemas verwendet: Es wurden Impressionen generiert, versteckte Webseiten geladen und Klicks auf Anzeigen simuliert. Ueber die Backdoor wurde zusaetzliche Malware – Moyu, Spirit und Bird – heruntergeladen, um teurere Payloads zu liefern und auszufuehren. Somit fungierte die Backdoor faktisch als Plattform, auf der kriminelle Gruppierungen Dritter ihre eigenen Module platzierten.

Wie das Botnet mit Videostrong verknuepft wurde

Die Verbindung zwischen der XCPE-Backdoor und Videostrong wurde von dem Unternehmen Synthient hergestellt. Ihren Angaben zufolge wurde Ende 2025 Malware auf einer neu erworbenen Mecool KM9PRO Max Android TV-Box entdeckt. Spezialisten fanden ein oeffentlich zugaengliches Verzeichnis mit Backdoors, das einen Ordner mit einer PDF-Datei enthielt, als deren Autor Videostrongs F&E-Leiter Owen Cao genannt wurde. Dies ermoeglichte die Zuordnung der Infrastruktur zu einem spezifischen Hersteller. An der Neutralisierungsoperation waren neben Google auch die japanische Natioanle Polizeiagentur sowie die Unternehmen Lumen, Human Security, Plume, Synthient und TrendAI beteiligt, die gemeinsam die schaedliche Infrastruktur analysierten und deren Betrieb stoppten.

Googles Reaktion und Konsequenzen fuer den Hersteller

Als Reaktion auf den festgestellten Verstoss brach Google die Beziehungen zu Videostrong ab: Das Unternehmen entzog dem Hersteller die Lizenz zur Veroeffentlichung von Android TV-Geraeten mit vorinstallierten Google-Apps und -Diensten und untersagte dem Unternehmen sowie seinen verbundenen Strukturen die Herstellung zertifizierter Android-Geraete oder die Lieferung von Software fuer zertifizierte Hersteller. Laut Google verbreitete Videostrong jahrelang Malware und verbesserte kontinuierlich die Funktionalitaet der Backdoor, um der Entdeckung zu entgehen und den Anforderungen verschiedener krimineller Gruppen gerecht zu werden.

Risiko fuer Anwender

Das Problem betrifft Nutzer weltweit: Google hat mehrere Regionen genannt, in denen infizierte Geraete vorhanden sind. Videostrong-Geraete werden auf beliebuebten Marktpluepzen verkauft – sowohl mit Lieferung aus China als auch ueber lokaele Haendler. Das bedeutet, dass das Risiko des Kaufs einer bereits kompromittierten TV-Box bestehen bleibt, auch wenn das Botnet offiziell neutralisiert wurde, da zuvor hergestellte Geraete weiterhin als Teil der schaedlichen Infrastruktur funktionieren koennen, bis sie von den Operatoren vollstaendig abgeschaltet werden.